SG 1 进行风险管理准备
建立并维护用于识别、分析和缓解风险的战略。这个战略一般编写成项目风险管理计划。风险管理战略处理的是适用于控制风险管理大纲的具体措施、资源和管理方法；包括对风险来源、风险分类方案以及风险的评价、界定和控制参数等的策划。相应的惯例：
- SP1.1 确定风险来源和类别
- SP1.2 定义风险参数
- SP1.3 建立风险管理战略
风险的来源是多方面，对于IT项目的风险比较常见的来源是不确定的需求，人员流动，使用新技术，不合理的进度，开发人员技能不足等方面的内容。风险的类别也是多方面的，比较大的分类可以分为项目管理类的风险，业务风险，技术类风险等。注意确定风险来源和分类的目的一方面是提供一种收集和归纳风险的机制，以确保风险能够引起管理者的关注。一方面的不同的风险类别和来源所具备的风险概率，影响，干系人，风险阈值等基础参数可能是不一样的。
定义风险的参数主要是要确定风险的定义，评估和排序的准则。里面有一个重要的内容就是确定各类风险的阈值。风险的阈值是给出风险的监督和控制点，当风险最终评估影响超过阈值的时候就必须要考虑实施风险缓解计划。风险缓解计划的实施可以是在我们评估的关键风险立刻实施，一种就是虽然现在还不是关键风险，但是如何风险超过了阈值就必须要实施缓解计划。
对应SP1.3的内容可以直接理解为风险管理计划，该计划应该是项目计划的重要组成部分。风险管理计划需要定义项目风险管理小组的成员，项目采用的风险参数，风险识别的方法和工具，项目可能会采用的风险缓解策略，项目如何对风险进行监控等内容。
SG 2 识别和分析风险
识别风险并对其进行分析，以确定它们的相对重要性。风险的程度影响到为处理风险而进行的资源分配和确定何时需要相应的管理者关注。对风险进行分析也就是给内部和外部来源的风险加上标识，然后评估每个风险，确定其发生的可能性和后续结果。根据已建立的风险分类办法和针对风险管理战略拟订的判据确定风险的类别，将为风险的处理提供所需的信息。可以把相关的风险分组，以便有效地处理风险和使用风险管理资源。相应的惯例:
- SP 2.1 识别风险
- SP 2.2 对风险进行评价、分类和排列先后顺序
风险的识别有多种方法，头脑风暴，调查表，风险检查单，风险库等都是可以考虑的内容。对于产品和技术的风险一定要借助于WBS工作分解结构来识别。在风险识别阶段我们就会形成风险登记册，要完成风险的名称，来源，类别等基本风险属性的录入。
在SP2.2主要是PMBOK中谈到的风险定性分析的内容。主要是要确定每个风险的影响，风险值=风险发生的概率*风险产生的影响。对我们识别的每个风险都应该得到最终风险值然后对风险进行优先级排序。在定性风险分析中引入了风险概率影响矩阵，组织和项目都可以根据概率影响矩阵来定义风险值在哪个范围即是项目关键风险。当一个风险被评估我项目关键风险后就必须要考虑对风险进行应对和缓解。
SG 3 缓解风险
处理风险并且在适当时缓解风险，从而降低对实现项目目标的不利影响。
处理风险的步骤包括提出风险处理意见、监督风险和在规定的阈值被超出时执行风险处理活动。针对所选择的风险拟订并实施缓解风险的方案，主动降低风险发生时的潜在影响。这类方案可能包括用于处理所选风险万一发生时的影响的应急方案，这与缓解风险的意图无关。用于启动风险处理活动的判据、闽值和参数由风险管理战略规定。相应的惯例：
- SP 3.1 制订风险缓解计划
- SP 3.2 实施风险缓解计划
风险管理战略规定的判据、阈值和参数用于确定在什么时候需要采取风险处理行动。风险缓解计划只是针对项目的关键风险，对于一般风险仅进行监督即可。对于风险的应对常用的措施有减轻，接受，规避，转移等，建议对于关键风险要有一种以上的缓解应对方法。在SP3.1中要确定风险的级别和阈值，它们指出风险在什么情况下将变得不可接受并且将启动风险处理行动。另外风险缓解计划中还需要包括如何风险转变为问题后的应急处理方法。
风险缓解计划的实施需要定义缓解计划的实施负责人，定期跟踪在缓解计划实施后风险是否得到了缓解。风险的发生概率和影响程度是否得到了降低。有了这些跟踪和重新评估，就可以对风险状态和优先级进行重新更新。
三级对风险管理要求是风险管理已经上升到组织级，组织有对风险管理规程，风险参数的标准定义，项目可以裁剪。另外组织会形成相应的风险库供项目识别风险使用。四级要求对风险进行量化管理，需要量化到风险管理的子过程，如风险识别，风险分析等子过程。对风险分析应该采用一些敏感度分析，蒙特卡洛模拟等量化风险分析的方法。
| 
